Number Theory. Teoria dei numeri. Teorema della divisione. Congruenze mod n

Transcript

1 Number Theory Alfredo De Santis Dipartimento di Informatica ed Applicazioni Università di Salerno Marzo Teoria dei numeri Concetti preliminari per Crittografia a Chiave Pubblica! Aritmetica modulare! Algoritmo di Euclide per il calcolo del gcd! Calcolo dell inversa moltiplicativa mod n!! Generazione di numeri primi e test di primalità 1 Teorema della divisione Congruenze mod n! Dati a є Z, n є N esiste un unica coppia (q,r) con! a e b sono congruenti mod n (a b mod n) se 0 r n-1 tale che a mod n = b mod n a = q n + r! 73 4 mod 23! 73 mod 23 = 4 mod 23 quoziente resto! 21-9 mod 10! r è indicato con a mod n! 21 mod 10 = -9 mod 10! a=11, n=7, 11 = " r = 11 mod 7 = 4! a=-11, n=7, -11 = (-2) " r = -11 mod 7 = 3 2! Se a b mod n allora n (b-a)! Se a b mod n allora b a mod n 3

2 ! [a] n ={a+kn, k є Z} L insieme Z n! Insieme dei numeri che divisi per n danno lo stesso resto a mod n! Rappresentata dal più piccolo intero positivo che è in essa! b є [a] n b=a+kn b-a=kn n (b-a) b a mod n! Z n ={ [a] n, 0 a n-1 } per semplicità Z n = {0,, n-1}! Esempio: Z 4 = { [0] 4, [1] 4, [2] 4, [3] 4 }! [0] 4 ={, -12, -8, -4, 0, 4, 8, 12, }! [1] 4 ={, -11, -7, -3, 1, 5, 9, 13, }! [2] 4 ={, -10, -6, -2, 2, 6, 10, 14, }! [3] 4 ={, -9, -5, -1, 3, 7, 11, 15, } 4 Aritmetica Modulare! Addizione modulo n! (a mod n) + (b mod n) = (a+b) mod n! Esempio mod Aritmetica Modulare! Addizione modulo n! (a mod n) + (b mod n) = (a+b) mod n! Proprietà! Commutativa! Associativa! Identità! Esistenza inversa additiva! (l inversa additiva di x è y tale che x+y 0 mod n) (Z n, +) gruppo additivo mod n 6 Massimo Comune Divisore (gcd)! d è il massimo comune divisore di a e n se! d è un divisore di a e n! ogni divisore di a e n è un divisore di d d = a x + n y! Proprietà! gcd(a, n) = gcd(a, -n) = gcd(-a, -n) = gcd( a, n )! gcd(a, 0) = a! se gcd(a, n)=1, a e n sono relativamente primi 7

3 L insieme Z n * Z n * = { [a] n, 0 < a n-1 e gcd(a,n)=1}! Esempio: Z 4* ={ [1] 4, [3] 4 }! [1] 4 ={, -11, -7, -3, 1, 5, 9, 13, }! [3] 4 ={, -9, -5, -1, 3, 7, 11, 15, }! Esempio: Z 8 *={ [1] 8, [3] 8, [5] 8, [7] 8 }! [1] 8 ={, -23, -15, -7, 1, 9, 17, 25, }! [3] 8 ={, -21, -13, -5, 3, 11, 19, 30, } Aritmetica Modulare! Moltiplicazione modulo n! (a mod n) (b mod n) = (a b) mod n! Proprietà! Commutativa! Associativa! Distributiva! Identità! Esistenza inversa moltiplicativa! L inversa moltiplicativa di x è y tale che x y 1 mod n) (Z n *, ) gruppo moltiplicativo mod n 8 9 Aritmetica mod 8 Algoritmo di Euclide Addizione Moltiplicazione Descritto negli Elementi di Euclide (circa 300 A. C.) Serve a calcolare il Massimo Comun Divisore gcd(30,21) =? gcd(63,30) =? gcd(4864,3458) =? Non tutti gli interi in Z 8 hanno inversa moltiplicativa, ma quelli in Z 8 *= { [1] 8, [3] 8, [5] 8, [7] 8 } ce l hanno 10 L'edizione "

4 Algoritmo di Euclide Algoritmo di Euclide Descritto negli Elementi di Euclide (circa 300 A. C.) Serve a calcolare il Massimo Comun Divisore gcd(30,21) = 3 gcd(63,30) = 3 gcd(4864,3458) = 38 Euclide (a,n) if n = 0 then return a else return Euclide (n, a mod n) Teorema della ricorsione del gcd Per tutti gli interi a 0 e n > 0 gcd(a, n) = gcd(n, a mod n) L'edizione " 13 Algoritmo di Euclide: Esempi Algoritmo di Euclide: complessità Euclide (30, 21) = Euclide (21, 9) = Euclide (9, 3) = Euclide (3, 0) = 3 Euclide (4864, 3458) = Euclide (3458, 1406) = Euclide (1406, 646) = Euclide (646, 114) = Euclide (114, 76) = Euclide (76, 38) = Euclide (38, 0) = 38 14! Assumiamo a > n 0! Se a<n, Euclide (a,n) chiama Euclide (n,a) e procede! Se a=n, Euclide (a,n) termina subito perché a mod n=0! Al massimo log n chiamate! Analisi complessa basata sui numeri di Fibonacci! Per ogni chiamata O( (log a) 2 ) operazioni su bit! Totale: al massimo O( (log a) 3 ) operazioni su bit! Euclide (a,n) richiede al massimo O( (log a) 2 ) operazioni su bit Polinomiale nella lunghezza dell input 15

5 Algoritmo di Euclide Esteso Euclide-esteso (a,n) if n = 0 then return (a, 1, 0) (d, x, y ) Euclide-esteso (n, a mod n) (d, x, y) (d, y, x - #a/n$ y ) return (d, x, y)! Oltre a computare d = gcd(a,n) computa anche due interi x, y tali che d = gcd(a,n) = a x+n y! Stesso running time asintotico di Euclide (a,n) 16 Algoritmo di Euclide Esteso Euclide-esteso (a,n) if n = 0 then return (a, 1, 0) (d, x, y ) Euclide-esteso (n, a mod n) (d, x, y) (d, y, x - #a/n$ y ) return (d, x, y) 3 = gcd(99,78) = -11#99+14#78 a n d x y Soluzione di ax b (mod n) Soluzione di ax b (mod n) Dati a, b, n calcolare x Esempi: x 7 (mod 8) soluzione x 4 (mod 8) soluzione 2, x 2 (mod 8) nessuna soluzione ! Ha soluzioni se e solo se g b g = gcd(a,n)! Se g b ci sono esattamente g distinte soluzioni mod n: b n x' + i g g per i = 0,1,, g-1 dove g = a x&+n y (da Euclide-esteso (a,n) ) 19

6 Soluzione di ax 1 (mod n) Soluzione di ax 1 (mod 8)! Ha soluzioni se e solo se gcd(a,n) =1! Se gcd(a,n) =1 l unica soluzione mod n è: x dove 1 = a x&+n y (da Euclide-esteso (a,n) )! Tale soluzione viene denotata con a -1 mod n (inversa moltiplicativa di a, mod n) 20 Ha soluzioni se e solo se gcd(a,8) =1 1 = 1-1 mod = 3-1 mod = 5-1 mod = 7-1 mod Soluzione di ax 1 (mod 7) Esempio: calcolo di 5-1 mod 7 Ha soluzioni se e solo se gcd(a,7) =1 1 = 1-1 mod = 2-1 mod = 3-1 mod = mod = 5-1 mod = 6-1 mod Euclide-esteso (a,n) if n = 0 then return (a, 1, 0) (d, x, y ) Euclide-esteso (n, a mod n) (d, x, y) (d, y, x - #a/n$ y ) return (d, x, y) a n d x y d = x a + y n 1 = = 5-1 mod

7 Esempio: calcolo di 5-1 mod 11 Euclide-esteso (a,n) if n = 0 then return (a, 1, 0) (d, x, y ) Euclide-esteso (n, a mod n) (d, x, y) (d, y, x - #a/n$ y ) return (d, x, y) a n d x y d = x a + y n 1 = (-2) 5-2 = 5-1 mod = 9 mod 11 9 = 5-1 mod Teorema cinese del resto Imperatore cinese contava il suo esercito mediante una sequenza di task! Formare gruppi di 3. Riportare quanti non ci riuscivano.! Formare gruppi di 5. Riportare quanti non ci riuscivano.! Formare gruppi di 7. Riportare quanti non ci riuscivano.!... III secolo d.c., matematico cinese Sun Zi 25 Teorema cinese del resto Teorema cinese del resto 26 X mod 3 = 1 27

8 Teorema cinese del resto Teorema cinese del resto X mod 5 = 2 X mod 7 = Teorema cinese del resto Teorema cinese del resto Esempio Dati! m 1, m 2,,m t interi positivi tali che gcd(m i,m j ) = 1, i j X 2 mod 5 X 3 mod 13 2 X = a i M i y i mod 65 i=1! M = m 1 m 2 m t! a 1, a 2,, a t interi Esiste una sola soluzione modulo M al sistema di congruenze M i = M/m i y i = M -1 i mod m i a 1 =2 m 1 =5 M 1 =13 y 1 = 13-1 mod 5 = 2 a 2 =3 m 2 =13 M 2 =5 y 2 = 5-1 mod 13 = 8 X a 1 mod m 1 X a 2 mod m 2 X a t mod m t X = t i=1 a i M i y i mod M M i = M/m i y i = M -1 i mod m i Soluzione del sistema: X = a 1 M 1 y 1 + a 2 M 2 y 2 mod 65 = mod 65 = mod 65 = 42 mod

9 Teorema cinese del resto Teorema cinese del resto Esempio X 1 mod 3 X 2 mod 5 X 2 mod 7 2 X = a i M i y i mod 65 i=1 M i = M/m i y i = M -1 i mod m i a 1 =1 m 1 =3 M 1 =35 y 1 = 35-1 mod 3 = 2 a 2 =2 M 2 =5 M 2 =21 y 2 = 21-1 mod 5 = 1 a 3 =2 M 3 =7 M 2 =15 y 3 = 15-1 mod 7 = 1 Quanti sono? 32 Soluzione del sistema: X = a 1 M 1 y 1 + a 2 M 2 y 2 + a 3 M 3 y 3 mod 105 = mod 105 = mod 105 =142 mod 105 = 37 mod Calcolo di x y mod z! Metodo naive! Metodo left-to-right! Metodo right-to-left Metodo naive Calcolo di x y mod z Potenza_Modulare_naive (x, y, z) a 1 for i = 1 to y do a (a x) mod z return a 34 35

10 Metodo naive Calcolo di x y mod z Potenza_Modulare_naive (x, y, z) a 1 for i = 1 to y do a (a x) mod z return a Se y è di 512 bit, occorrono operazioni Esponenziale nella lunghezza dell esponente 36 Metodo left-to-right Calcolo di x y mod z y = y y y t 2 t Idea: y = y 0 +2(y 1 + 2(y (y t-1 +2y t ))))) Esempio: 40 = = 0 + (2 (0 + 2 (0 + (2 (1 + 2 ( )))))) 37 Metodo left-to-right Metodo left-to-right Calcolo di x y mod z y = y y y t 2 t Idea: y = y 0 +2(y 1 + 2(y (y t-1 +2y t ))))) x y = x y 0 +2(y 1 +2(y (y t-1 +2y t ))))) = x y 0 x 2(y 1 +2(y (y t-1 +2y t ))))) = x y 0(x y 1 +2(y (y t-1 +2y t ))))) ) 2 = x y 0(x y 1(x y (y t-1 +2y t ))))) ) 2 ) 2 Calcolo di x y mod z y = y y y t 2 t Idea: y = y 0 +2(y (y t-1 +2y t ))))) x y = x y 0 ( (x y t-1 (x y t ) 2 ) 2 ) 2 Esempio: x = = 0 + (2 (0 + 2 (0 + (2 (1 + 2 ( )))))) x 40 = x 0 ( x 0 (x 0 (x 1 (x 0 (x 1 ) 2 ) 2 ) 2 ) 2 ) 2 = x y 0 (x y 1 ( (x y t-1 (x y t ) 2 ) 2 )

11 Metodo left-to-right Calcolo di x y mod z y = y y y t 2 t Idea: y = y 0 +2(y (y t-1 +2y t ))))) x y = x y 0 ( (x y t-1 (x y t ) 2 ) 2 ) 2 Potenza_Modulare (x, y, z) a 1 for i = t downto 0 do a (a a) mod z if y i = 1 then a (a x) mod z return a Metodo left-to-right Potenza_Modulare (x, y, z) a 1 for i = t downto 0 do a (a a) mod z if y i = 1 then a (a x) mod z return a 3 40 mod 73=8 y 5 =1, y 4 =0, y 3 =1, y 2 =0, y 1 =0, y 0 =0 Se y è di 512 bit, occorrono 512 operazioni Polinomiale nella lunghezza dell esponente Metodo right-to-left Calcolo di x y mod z Idea: x y = x 20 y y 1 +2 t y t y = y y y t 2 t = x 20 y 0 x 2 1 y 1 x 2 t y t = (x 20 ) y 0 (x 21 ) y 1 (x 2t ) y t Metodo right-to-left Calcolo di x y mod z Idea: Esempio: x 40 y = y y y t 2 t x y = (x 20 ) y 0 (x 21 ) y 1 (x 2t ) y t 40 = x 40 = (x 1 ) 0 (x 2 ) 0 (x 4 ) 0 (x 8 ) 1 (x 16 ) 0 (x 32 )

12 Metodo right-to-left Calcolo di x y mod z Idea: Esempio: x 40 y = y y y t 2 t x y = (x 20 ) y 0 (x 21 ) y 1 (x 2t ) y t 40 = x 40 = (x 1 ) 0 (x 2 ) 0 (x 4 ) 0 (x 8 ) 1 (x 16 ) 0 (x 32 ) 1 Metodo right-to-left Calcolo di x y mod z Idea: Esempio: x 40 y = y y y t 2 t x y = (x 20 ) y 0 (x 21 ) y 1 (x 2t ) y t 40 = x 40 = (x 1 ) 0 (x 2 ) 0 (x 4 ) 0 (x 8 ) 1 (x 16 ) 0 (x 32 ) 1 x 1 x 2 x 4 x 8 x 16 x 32 x 40 = x 8 x 32 =1 =1 =1 = =1 =1 =1 =1 Metodo right-to-left Potenza_Modulare (x, y, z) if y = 0 then return 1 X x; P 1 if y 0 = 1 then P x for i = 1 to t do X X X mod z if y i =1 then P P X mod z return P Polinomiale nella lunghezza dell esponente mod 1234 i y i X P Numeri primi! Un intero p > 1 è un numero primo se e solo se i suoi unici divisori sono 1 e sé stesso! Esempi: 2, 3, 5, 7, 11, 13, 17, 19,...! Teorema fondamentale dell aritmetica! Ogni intero composto n > 1 può essere scritto in modo unico come prodotto di potenze di primi n = p 1 e1 p 2 e2... p k ek p i primo, ei intero positivo 46 47

13 Funzione di Eulero Teorema di Eulero Z n * = { [a] n, 0 < a n-1 e gcd(a,n)=1 } φ(n) = cardinalità di Z n * (funzione di Eulero)! φ(p) = p-1 se p primo! φ(pq) = (p-1)(q-1) se p,q primi & 1 # & 1 # & 1 #! φ(n) = n $! $! $! se n = p e1 % p1 " % p2 " % p 1 p e p ek k, k " p i primo, ei > 0! Per ogni a Z n*, a φ(n) = 1 mod n! Esempi:! a=3, n=10, φ(10)=4 " 3 4 = 81 = 1 mod 10! a=2, n=11, φ(11)=10 " 2 10 = 1024 = 1 mod Teorema di Fermat! Se p è primo, per ogni a Z p*, a p-1 = 1 mod p Generazione di un primo grande 1. Genera a caso un dispari p di grandezza appropriata 2. Testa se p è primo 3. Se p è composto, go to 1.! Se p è primo, per ogni a Z p a p = a mod p Esempi:! a=7, p=19 " 7 18 = 1 mod 19! a=10, p=5 " 10 5 = 10 mod 5 = 0 mod

14 Generazione di un primo grande Distribuzione dei numeri primi 1. Genera a caso un dispari p di grandezza appropriata 2. Testa se p è primo 3. Se p è composto, go to 1.! π(x) = numero di primi in [2,x]! Teorema dei numeri primi: π(x) è circa x/ln x lim π (x) x x/ln x = 1 Come testare se un numero p è primo? Che probabilità abbiamo che p sia primo?! Esempio: π(10 23 ) = π(10 23 ) 1, /ln10 (cioè 2% in meno) Distribuzione dei numeri primi! π(x) = numero di primi in [2,x]! Teorema dei numeri primi: lim x π(x) è circa x/ln x π(x) x/lnx = 1! Esistono limitazioni, ad esempio, per x> x! lnx $ # & < π(x) < x! " lnx % lnx lnx + 2,51 $ # " ( lnx) 2 & % Scelta di un primo di 512 bit Scelto un intero in [2,2 512 ] la probabilità che sia primo è circa 1 su ln (ln ,89)! Numero medio di tentativi 354,89! Se si scelgono solo dispari, numero medio di tentativi 177,44! Se si scelgono dispari in [2 511,2 512 ] la probabilità è ( ) ln2 2 ln bit scelti a caso ,

15 Scelta di un primo di 1024 bit Scelto un intero in [2, ] la probabilità che sia primo è circa 1 su ln (ln ,78)! Numero medio di tentativi 709,78! Se si scelgono solo dispari, numero medio di tentativi 354,89! Se si scelgono dispari in [2 1023, ] probabilità ( ) ln2 ln ,23 Test di Primalità Due tipi di test:! Probabilistici! Deterministici bit scelti a caso p Test di primalità probabilistici Test Primalità primo composto Probabilmente! Certamente!! Il test può sbagliare! numero composto viene dichiarato primo! probabilità di errore 1/2! Ripetendo il test indipendentemente t volte, probabilità di errore (1/2) t 58 Test di primalità probabilistici Insieme di witness W(p)! dato a [1, p-1] è facile verificare se a W(p)! se p è primo allora W(p) è vuoto! se p è composto allora W(p) p/2 Scelgo a 59

16 Test di primalità probabilistici Test di Solovay-Strassen! Probabilità di errore (1/2) t Test di Miller-Rabin! Il più usato in pratica! Il più veloce! Robert M. Solovay e Volker Strassen [1977]! Probabilità di errore (1/4) t! Gary Miller, deterministico, basato su Riemann hypotesis [1976]! Michel Rabin, modificato in probabilistico [1980] 60 Test di Miller-Rabin! Sia p il numero da testare! p-1 = 2 k q, con q dispari e k>0! Scegli a [1, p-1] e calcola a q, a 2q,,a 2k q (quadrati ripetuti)! Se p è primo, a 2k q = 1 mod p (teorema di Fermat)! Sia j il più piccolo indice per cui a 2j q = 1 mod p! Se j=0, allora a q = 1 mod p! Se j>0, allora (a 2j-1 q -1)(a 2j-1 q +1) mod p =0! p divide uno dei due fattori! p non può dividere il primo, altrimenti j non è il più piccolo valore per cui a 2j q = 1 mod p! p divide il secondo fattore, da cui a 2j-1 q = -1 mod p 61 Test di Miller-Rabin Test di Miller-Rabin! Data la sequenza a q, a 2q,, a 2k q se p è primo una delle due condizioni è vera:! a q = 1 mod p! a 2j-1 q = -1 mod p per qualche j [1, k]! Altrimenti p è composto Test Miller-Rabin (p)! calcola k>0 e q dispari: p-1=2 k q! scegli a caso a [1, p-1]! if a q =1 mod p, then return primo! for j=0 to k-1 do! if a 2j q = -1 mod p, then return primo! return composto 62 Running time: Polinomiale nella lunghezza dell input 63

17 Test di Miller-Rabin Test di Miller-Rabin p=29 Insieme di witness di Miller-Rabin W MR (p) = {a : a q 1 mod p and a 2j q -1 mod p per ogni j [0,k-1]}! Se p è un primo dispari W MR (p) è vuoto p-1 = 2 k q con q dispari! Se p è un numero composto dispari W MR (p) (3/4) φ(p) 64 Witness di Miller-Rabin 29-1 = W MR (29) = {a : a 7 1 mod 29 and a 2j 7-1 mod 29 per ogni j [0,1]}! a=10! a=2! 10 7 mod 29 = 17 (continua)! (10 7 ) 2 mod 29 = 28 = -1 mod 29 (stop: primo )! 2 7 mod 29 = 12 (continua)! (2 7 ) 2 mod 29 = 28 = -1 mod 29 (stop: primo )! Prova per tutti gli a [1,28]: sempre output primo 65 Test di Miller-Rabin p=221 Witness di Miller-Rabin = W MR (221) = {a : a 55 1 mod 221 and a 2j 55-1 mod 221 per ogni j [0,1]}! a=5! 5 55 mod 221 = 112 (continua)! (5 55 ) 2 mod 221 = 168 (valori terminati, stop: composto )! a=21! mod 221 = 220 = -1 mod 221 (stop: primo )! Per ogni a {1,,220}/ W MR (221), output: primo! a = 1, 21, 47, 174, 200, Test di primalità deterministici! Fino al 2002, non erano noti test deterministici efficienti (polinomiali)! Test deterministico AKS O(log 12+ε n) M. Agrawal, N. Kayal e N. Saxena, "PRIMES is in P! Miller-Rabin ancora usato perché più efficiente 67

18 Bibliografia Domande?! Cryptography and Network Security by W. Stallings, 2010! cap. 4 (Finite Fields)! cap. 8 (Introduction to Number Theory)! Introduction to Algorithms by Cormen, Leiserson, Rivest (I ed)! cap 31 (Number Theory) 68 69